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An apparatus for failsafe disconnection of an 
electrical load has a first and at least one second 
safety switching device. The first safety switching 
device has a first evaluation and control unit, an 
output and an electronic switching element, for 
producing a potential-related switching signal at 
the output under the control of the first evaluation 
and control unit. The second safety switching 
device has a second evaluation and control unit 
and an input. The input and the output are 
connected to one another via a single-channel 
connecting line, and the input supplies the 
second evaluation and control unit with the 
potential-related switching signal from the output 
of the first safety switching device. In order to 
fulfill safety standards for such kind of apparatus, 
the second safety switching device has at least 
two input circuits to which the potential-related 
switching signal from the output of the first safety 
switching device is supplied in a mutually 
redundant manner. 
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Beschreibung 

[0001] Die vorliegende Erfindung betrifft eine Vorrich- 
tung zum fehlersicheren Abschalten eines elektrischen 
Verbrauchers, insbesondere in industriellen Produkti- 
onsanlagen, mit einem ersten und zumindest einem 
zweiten Sicherheitsschaltgerat, wobei das erste Sicher- 
heitsschaltgerat eine erste Auswerte- und Steuereinheit, 
einen Ausgang und ein elektronisches Schaltelement 
aufweist, das in Abhangigkeit von der ersten Auswerte- 
und Steuereinheit ein potentialbezogenes Schaltsignal 
an dem Ausgang erzeugt, wobei das zweite Sicherheits- 
schaltgerat eine zweite Auswerte- und Steuereinheit so- 
wie einen Eingang aufweist, der mit der zweiten Auswer- 
te- und Steuereinheit und mit dem Ausgang des ersten 
Sicherheitsschaltgerats verbunden ist. 
[0002] Die Erfindung betrifft ferner Sicherheitsschalt- 
gerate zur Verwendung in einer solchen Vorrichtung, die 
einerseits einen Eingang zum Aufnehmen eines poten- 
tialbezogenen Schaltsignals sowie eine Auswerte- und 
Steuereinheit aufweisen, die mit dem Eingang verbun- 
den ist und/oder andererseits eine Auswerte- und Steu- 
ereinheit, einen Ausgang sowie ein elektronisches 
Schaltelement aufweisen, das in Abhangigkeit von der 
Auswerte- und Steuereinheit ein potentialbezogenes 
Schaltsignal an dem Ausgang erzeugt. 
[0003] Eine solche Vorrichtung und entsprechende Si- 
cherheitsschaltgerate sind aus der WO 01/6761 0 A1 be- 
kannt. 

[0004] Sicherheitsschaltgerate der hier verwendeten 
Art werden vor allem in industriellen Produktionsumge- 
bungen verwendet, urn Maschinen, wie bspw. eine hy- 
draulische Presse oder ein Fraswerkzeug, zuverlassig 
und sicher abzuschalten, wenn dies fur die Sicherheit 
von Bedienpersonen oder aus anderen Grunden erfor- 
derlich ist. Die gattungsgemaften Sicherheitsschaltgera- 
te besitzen einen oder mehrere Eingange, an die Stell- 
elemente wie bspw. Not-Aus-Taster, Zwei-Hand-Taster, 
Schutzturen oder Lichtschranken angeschlossen wer- 
den konnen. Die Auswerte- und Steuereinheit wertet die 
Eingangssignale dieser Stellglieder auf fehlersichere Art 
und Weise aus und erzeugt in Abhangigkeit davon wie- 
derum auf fehlersichere Art und Weise ein ausgangssei- 
tiges Schaltsignal. Dieses Schaltsignal betatigt Aktoren, 
insbesondere Schutze, mit denen die Maschine wieder- 
um fehlersicher abgeschaltet wird. 
[0005] Der Begriff "fehlersicher" bedeutet in diesem 
Zusammenhang, daft ein Abschalten der Maschine unter 
alien Umstanden gew§hrleistetsein muft, und zwarauch 
dann , wenn innerhalb der Kette aus Stellelement, Sicher- 
heitsschaltgerat und Aktor ein Funktionsfehler auftritt. Si- 
cherheitsschaltgerate mussen daher so ausgelegt sein, 
daft auch bei Ausfall eines Bauelements, bei Kabelbru- 
chen oder bei anderen Funktionsstorungen stets ein si- 
cherer Zustand der uberwachten Maschine gewahrlei- 
stet ist. Dementsprechend werden mit dem Begriff Si- 
cherheitsschaltgerat hier nur solche Einrichtungen und 
Gerate bezeichnet, die zumindest die Kategorie 3 der 



europaischen Norm EN 954-1 odervergleichbare Anfor- 
derungen erfullen. 

[0006] Konventionell wurden und werden gattungsge- 
mafte Sicherheitsschaltgerate bis heute vielfach mit dis- 

5 kreten Bauteilen und mit elektromechanischen Schal- 
telementen (Relais) aufgebaut. Erst seit wenigen Jahren 
geht man dazu uber, Sicherheitsschaltgerate auch unter 
Verwendung elektronischer Bauelemente und insbeson- 
dere elektronischer Schaltelemente (Bipolar- und/oder 

10 Feldeffekttransistoren)aufzubauen. In derWO01/67610 
A1 sind Sicherheitsschaltgerate sowie Vorrichtungen mit 
kombinierten Sicherheitsschaltgeraten beschrieben, die 
am Ausgang potentiaibezogene Schaltsignale liefern. Im 
Gegensatz dazu verwenden die herkommlichen Sicher- 

15 heitsschaltgerate potentialfreie Ausgange. Aufgrund der 
potentialbezogenen Ausgange ist es mit den Sicherheits- 
schaltgeraten der WO 01/67610 A1 nicht mehr sinnvoll, 
die Ausgange mehrerer Sicherheitsschaltgerate in einer 
Reihe miteinander zu verschalten, um ein Sicherheits- 

20 schaltgerate-System zu erhalten. Die WO 01/67610 A1 
schlagt daher eine neue Moglichkeit vor, um Sicherheits- 
schaltgerate mit potentialbezogenen Ausgangen zu ei- 
nem System zu kombinieren. Dabei werden die potenti- 
albezogenen Ausgange eines ersten Sicherheitsschalt- 

25 gerates mit speziellen Eingangen eines nachfolgenden, 
zweiten SicherheitsschaltgerStes verbunden. Insgesamt 
ergibt sich dadurch eine Vorrichtung, die sehr flexibel 
und vielseitig einsetzbar ist. Bei der bekannten Vorrich- 
tung ist es allerdings zum Erreichen einer maximalen 

30 Fehlersicherheit erfordeiiich, jeweils zumindest zwei po- 
tentiaibezogene Ausgange des ersten Sicherheitsschalt- 
gerates parallel mit zumindest zwei entsprechenden Ein- 
gangen des zweiten Sicherheitsschaltgerates zu verbin- 
den. 

35 [0007] Aus der DE 100 37 737 A1 sind ein Verfahren 
und eine Vorrichtung zur sicheren einkanaligen Auswer- 
tung von Sensorsignalen bekannt. Dabei werden aus 
redundant erzeugten Sensorsignalen weitere Redun- 
danzsignale abgeleitet. Samtliche Signale werden an- 

*o schlieflend digitalisiert, in ein einkanaliges digitales Si- 
gnal umgesetzt und an eine ubergeordnete Verarbei- 
tungseinheitubertragen. Das beschriebene Verfahren ist 
jedoch nicht geeignet, um mehrere Sicherheitsschaltge- 
rate der oben beschriebenen Art zu einem System von 

45 Sicherheitsschaltgeraten zu kombinieren, wie es aus der 
WO 01/67610 A1 bekannt ist. 

[0008] Es ist daher eine Aufgabe der vorliegenden Er- 
findung, die eingangs beschriebene Vorrichtung mit 
kombinierten Sicherheitsschaltgeraten derart weiterzu- 
50 bilden, dafc ein einfacherer und schnellerer Aufbau und 
damit eine schnellere Installation in einer Produktions- 
anlage mdglich ist. Es ist ferner Aufgabe der Erfindung, 
entsprechend geeignete Sicherheitsschaltgerate anzu- 
geben. 

55 [0009] Diese Aufgabe wird bei der eingangs genann- 
ten Vorrichtung dadurch gelost, daft das erste und das 
zweite Sicherheitsschaltgerat uber eine einkanalige Ver- 
bindungsleitung miteinander verbunden sind, und daft 
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das zweite Sicherheitsschaltgerat zumindest zwei Ein- 
gangskreise aufweist, denen das potentialbezogene 
Schaltsignal des ersten Sicherheitsschaltgerates redun- 
dant zueinander zugefuhrt ist. Dementsprechend geniigt 
es, wenn der Ausgang des ersten Sicherheitsschaltge- 
rates einkanalig zum Anschluft an eine einkanalige Ver- 
bindungsleitung ausgelegt und mit einem modulator ver- 
bunden ist, der das potentialbezogene Schaltsignal mit 
einem statischen und einem dynamischen Signalanteil 
versieht Das zweite Sicherheitsschaltgerat ist dadurch 
gekennzeichnet, dafi zumindest zwei Eingangskreise 
vorhanden sind, denen das potentialbezogene Schaltsi- 
gnal von dem einen Eingang redundant zueinander zu- 
gefuhrt ist. 

[0010] Die Erfindung beruht auf der uberraschenden 
Erkenntnis, daft bei der eingangs beschriebenen Vor- 
richtung eine ausreichende Fehlersicherheit auch mit ei- 
ner einkanaligen Verbindungsleitung zwischen dem er- 
sten und zweiten Schaltgerat gewahrieistet werden 
kann. Dies war im vorhinein nicht zu erwarten, da bei der 
Auslegung und Konstruktion von Sicherheitsschaltvor- 
richtungen grundsatzlich eine durchgehende Redun- 
danz in alien Schaltungsbestandteilen fur erforderlich ge- 
halten wurde. Im voriiegenden Fall kann die Verbin- 
dungsleitung zwischen den beiden Sicherheitsschaltge- 
raten jedoch einkanalig ausgefuhrt werden, da sicher- 
heitskritische Situationen in Folge von Bauteilversagen 
und dergleichen anderweitig abgefangen werden. Wer- 
den namlich an die einkanalige Verbindungsleitung zu- 
satzlich zu dem zweiten Sicherheitsschaltgerat noch ein 
oder mehrere Schutze angeschlossen, kann das Ein- 
und Abschalten der Schutze dadurch fehlersicher uber- 
wacht werden, daft die zwangsgefuhrten Hilfskontakte 
der Schutze in an sich bekannter Weise auf einen Ein- 
gang des ersten Sicherheitsschaltgerates zuruckgefuhrt 
werden. Es ist in diesem Fall nicht erforderlich, die Schut- 
ze an zwei getrennte, redundante Verbindungsleitungen 
anzuschlieften. 

[0011] Werden demgegenuber in einer praktischen 
Realisierung keine Schutze an die einkanalige Verbin- 
dungsleitung angeschlossen, entfalit diese Moglichkeit, 
das potentialbezogene Schaltsignal am Ausgang des er- 
sten Schaltgerats zu uberwachen. Es hat sich jedoch ge- 
zeigt, daft auf eine solche Qberwachung in diesem Fall 
auch verzichtet werden kann, da ein Schaltvorgang nur 
noch am Ausgang des zweiten Sicherheitsschaltgerates 
erfolgt. Es genugt daher, das potentialbezogene Schalt- 
signal auf fehlersichere Art und Weise, d.h. in aller Regel 
zweikanalig, am Eingang des zweiten Schaltgerates aus- 
zuwerten. Dementsprechend weist das zweite Sicher- 
heitsschaltgerat hier die zumindest zwei zueinander red- 
undanten Eingangskreise auf. 

[0012] Bei der neuen Vorrichtung sind das erste und 
das zweite Sicherheitsschaltgerat daher nur noch uber 
die einkanalige Verbindungsleitung miteinander verbun- 
den, wodurch der Verdrahtungsaufwand bei der Instal- 
lation reduziert wird. Dementsprechend ist die Installati- 
on einfacher und schneller mbglich. Daruber hinaus be- 



notigt das erste Sicherheitsschaltgerat weniger Aus- 
gangsanschlusse und das zweite Sicherheitsschaltgerat 
weniger Eingangsanschlusse. Infolgedessen kann die 
Baugrofte der Sicherheitsschaltgerate verkleinert wer- 

5 den Oder es stehen bei gleicher Baugrofte zusatzliche 
Anschlusse fur andere Verwendungen zur Verfugung. 
Die vorliegende Erfindung fuhrt daher auch zu einer Ko- 
stenreduktion bei der Konstruktion und Produktion von 
erfindungsgemaften Sicherheitsschaltgeraten. 

10 [001 3] Die genannte Aufgabe ist daher vollstandig ge- 
lost. 

[0014] In einer bevorzugten Ausgestaltung weist das 
erste Sicherheitsschaltgerat einen Modulator auf, der 
das potentialbezogene Schaltsignal mit einem statischen 
15 Signalanteil und einem dynamischen Signalanteil ver- 
sieht. 

[0015] In dieser Ausgestaltung ist das erste Sicher- 
heitsschaltgerat in der Lage, dem nur einkanalig uber- 
tragenen Schaltsignal zwei eigenstandige Signalinfor- 

20 mationen aufzupragen. Hierdurch ist es moglich, trotz 
der nur einkanaligen Verbindungsleitung zueinander 
redundante Informationen an das zweite Sicherheits- 
schaltgerat zu ubertragen. Dies ist fur eine fehlersichere 
Realisierung selbst nach der (hochsten) Sicherheitska- 

25 tegorie 4 der europaischen Norm EN 954-1 aus den be- 
reits oben erlSuterten Grunden zwar nicht zwingend er- 
forderlich, es erleichtert jedoch eine derartige Realisie- 
rung. Insbesondere kann in dieser Ausgestaltung eine 
groftere Flexibility bei der externen Beschaltung der Si- 

30 cherheitsschaltgerate mit Aktoren, insbesondere Schut- 
zen, zugelassen werden. Dadurch vereinfacht sich die 
Installation der neuen Vorrichtung noch weiter. 
[0016] In einer weiteren Ausgestaltung ist der stati- 
sche Signalanteil ein positiver Signalpegel und der dy- 

35 namische Signalanteil beinhaltet zumindest einen zy- 
klisch wiederkehrenden Impuls, der den positiven Signal- 
pegel verandert. Grundsatzlich kann der Impuls positiv 
oder negativ sein. Bevorzugt ist die Dauer des zyklisch 
wiederkehrenden Impulses sehr kurz im Vergleich zu der 

40 Dauer, wahrend der das potentialbezogene Schaltsignal 
den positiven Signalpegel aufweist. In praktischen Ver- 
suchen haben sich Impulsdauern von 1 ms und weniger 
als vorteilhaft erwiesen. 

[0017] DieseAusgestaltungerlaubtes, Schutze direkt, 
45 d.h. ohne weitere Interface-Schaltungen, an die einka- 
nalige Verbindungsleitung zwischen dem ersten und 
dem zweiten Sicherheitsschaltgerat anzuschlielien. Das 
zweite Sicherheitsschaltgerat und ggf. weitere nachfol- 
gende Sicherheitsschaltgerate kdnnen damit Schaltvor- 
50 gange auslosen, die die genannten Schutze nicht beein- 
flussen. Dies ermoglichtden einfachen Aufbau einer hier- 
archischen Steuerung, mit der verschiedene Teile einer 
Gesamtanlage in unterschiedlichen Gruppen abgeschal- 
tet werden konnen. So ist es bspw. moglich, bei Betati- 
55 gung eines Not-Aus-Schalters, der am ersten Schaltge- 
rat angeschlossen ist, die gesamte Maschinenanlage 
stromloszu machen, wahrend beim Offnen einer Schutz- 
tur, die an einem zweiten Sicherheitsschaltgerat ange- 
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schlossen ist, nur ein Ventil oder ein einzelner Antrieb 
abgeschaltet wird. Solange die Dauer eines einzelnen 
Impulses kurz gegenOber der Abfallzeit der verwendeten 
Schutze ist, wird die Schaltfunktion der Schutze durch 
den dynamischen Signalanteil selbst dann nicht beein- s 
flu&t, wenn die Impulse negativ sind. 
[001 8] In einer weiteren Ausgestaltung weisen die zu- 
mindest zwei Eingangskreise des zweiten Sicherheits- 
schaltgerates zumindest zwei zueinander redundante 
Schwellwertvergleicher auf. 

[0019] In dieser Ausgestaltung wertet das zweite Si- 
cherheitsschaltgerat im wesentlichen den statischen Si- 
gnalanteil, insbesondere den anliegenden Signalpegel 
des potentialbezogenen Schaltsignals, aus. Aufgrund 
der Redundanz erfolgt diese Auswertung hier in einer Art 
und Weise, die die Anforderungen der Kategorie 4 der 
EN 954-1 erfullt. Die Mafcnahme stellt eine einfache und 
kostengunstige Moglichkeit dar, urn trotz der nur einka- 
naligen Verbindungsleitung eine hohe Fehlersicherheit 
zu erreichen. 

[0020] In einer weiteren Ausgestaltung weist zumin- 
dest ein Eingangskreis einen Schwellwertvergleicher 
und ein anderer Eingangskreis einen Impulsdetektor auf. 
[0021] In dieser Ausgestaltung ist das zweite Sicher- 
heitsschaltgerat in der Lage, sowohl einen statischen als 
auch einen dynamischen Signalanteil des potentialbezo- 
genen Schaltsignals auszuwerten. Dementsprechend ist 
das zweite Sicherheitsschaltgerat in dieser Ausgestal- 
tung besondersgeeignet, um redundante Signalinforma- 
tionen, die von dem ersten Sicherheitsschaltgerat einka- 
nalig ubertragen werden, vollstandig auszuwerten. Die 
Mafcnahme stellt eine weitere, einfache Moglichkeit dar, 
um die gewunschte Fehlersicherheit der Gesamtanord- 
nung zu gewShrleisten. Daruber hinaus erfolgt die Aus- 
wertung in dieser Ausgestaltung diversity, was bekann- 
termaUen zu einer noch hoherer Fehlersicherheit fuhrt. 
[0022] In einer weiteren Ausgestaltung weist das erste 
Sicherheitsschaltgerat zumindest einen Schwellwertver- 
gleicher, bevorzugt sogar zumindest zwei zueinander 
redundante Schwellwertvergleicher, auf. Dem bzw. den 
Schwellwertvergleichern ist/sind eingangsseitig das po- 
tentialbezogene Schaltsignal zugefuhrt und ausgangs- 
seitig sind sie mit der ersten Auswerte- und Steuereinheit 
verbunden. 

[0023] In dieser Ausgestaltung ist das erste Sicher- 
heitsschaltgerat in der Lage, den Pegel des potentialbe- 
zogenen Schaltsignals am Ausgang eigenstandig zu 
uberwachen. In der bevorzugten Ausgestaltung erfolgt 
dies aufgrund der zueinander redundanten Schwellwert- 
vergleicher sogar gemafi den Anforderungen der Kate- 
gorie 4 der EN 954-1 . Die Ausgestaltung vereinfacht den 
Anschlufi von externen Schutzen an die einkanalige Ver- 
bindungsleitung, da entsprechend weniger externe Si- 
cherungsmaftnahmen durchgefuhrt werden mussen. 
[0024] In einer weiteren Ausgestaltung sind an die ein- 
kanalige Verbindungsleitung ferner zumindest zwei ex- 
terne Schaltelemente, insbesondere Schutze, ange- 
schlossen. 



[0025] In dieser Ausgestaltung macht die neue Vor- 
richtung von den bereits oben erlauterten Vorteilen Ge- 
brauch. Die Ausgestaltung ermdglicht den einfachen 
Aufbau einer hierarchischen Steuerung, bei der die ein- 
zelnen Hierarchieebenen allein durch die Position der 
externen Schaltelemente in der Kette der Sicherheits- 
schaltgerate bestimmt wird. Im Vergleich zu komplexen 
Sicherheitssteuerungen entfallt jeglicher Programmier- 
aufwand. 

[0026] In einer weiteren Ausgestaltung sind die exter- 
nen Schaltelemente elektromechanische Schaltelemen- 
te mit jeweils zumindest zwei durch eine Zwangsfuhrung 
verbundenen Schaltkontakten. 

[0027] Auch diese Ausgestaltung knupft an die bereits 
oben erlauterten Vorteile an. Die zwangsgefuhrten Hilfs- 
kontakte konnen in dieser Ausgestaltung sehr einfach 
fur eine zusatzliche Ruckkopplung auf den Eingang des 
ersten Sicherheitsschaltgerates genutzt werden, wo- 
durch die Fehlersicherheit der gesamten Vorrichtung 
weiter erhoht ist. 

[0028] In einer weiteren Ausgestaltung ist jeweils einer 
der durch die Zwangsfuhrung verbundenen Schaltkon- 
takte auf einen Eingang des ersten Sicherheitsschaltge- 
rates verbunden. 

[0029] Diese Ausgestaltung macht von den durch die 
zwangsgefuhrten Hilfskontakte gegebenen Moglichkei- 
ten in vorteilhafter Weise Gebrauch. Daher kann in be- 
sonders einfacher Weise eine Vorrichtung realisiert wer- 
den, die den Anforderungen der (hochsten) Sicherheits- 
kategorie 4 der EN 954-1 Oder vergleichbaren Anforde- 
rungen genugt. 

[0030] In einer weiteren Ausgestaltung sind die exter- 
nen Schaltelemente getrennt von dem ersten Sicher- 
heitsschaltgerat mit einem Bezugspotential verbunden. 
[0031] In dieser Ausgestaltung sind die externen 
Schaltelemente getrennt von dem ersten Sicherheits- 
schaltgerat an eine Masseschiene oder dergleichen an- 
geschlossen. Alternativ hierzu ist es grundsatzlich mog- 
lich und in der Praxis durchaus verbreitet, externe Schal- 
telemente uber eine Klemme des ersten Sicherheits- 
schaltgerates mit dem Bezugspotential (Masse) zu ver- 
binden. Die bevorzugte Ausgestaltung bietet demgegen- 
uber eine erhohte Sicherheit, da in diesem Fall selbst 
ohne zusatzliche SicherheitsmafJnahmen, wie bspw. die 
Verwendung redundanter Signalinformationen, eine un- 
beabsichtigte Schaltreaktion des zweiten Sicherheits- 
schaltgerates ausgeschlossen ist. Die Fehlersicherheit 
der gesamten Vorrichtung wird hierdurch weiter erhoht. 
[0032] In einer weiteren Ausgestaltung weist das zwei- 
te Sicherheitsschaltgerat zumindest einen weiteren Ein- 
gang zum Aufnehmen eines weiteren Schaltsignals so- 
wie eine Verknupfungseinheit auf, die das weitere Schalt- 
signal mit dem potentialbezogenen Schaltsignal logisch 
verknupft. 

[0033] Die logische Verknupfung ist bevorzugt eine 
UND-Verknupfung, sie kann aber auch eine ODER-Ver- 
knupfung oder eine andere logische Verknupfung sein. 
Das zweite Sicherheitsschaltgerat verknupft das weitere 
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Schaltsignal, das bspw. von einem externen Stellele- 
ment oder einem anderen Sicherheitsschaltgerat er- 
zeugt wird, mitdem potentialbezogenen Schaltsignal des 
ersten Sicherheitsschaltgerates. In dieser Ausgestaltung 
ist eine besonders flexible und variantenreiche Realisie- 
rung der neuen Vorrichtung mbglich. 
[0034] Esverstehtsich, dafcdie vorstehendgenannten 
und die nachstehend noch zu erlSuternden Merkmale 
nicht nur in der jeweils angegebenen Kombination, son- 
dern auch in anderen Kombinationen oder in Alleinstel- 
lung verwendbar sind, ohne den Rahmen der vorliegen- 
den Erfindung zu verlassen. 

[0035] Ausfuhrungsbeispiele der Erfindung sind in der 
Zeichnung dargestellt und werden in der nachfolgenden 
Beschreibung naher erlautert. Es zeigen: 

Fig. 1 ein Ausfuhrungsbeispiel einer erfindungsge- 
mafien Vorrichtung in einer schematischen 
Darstellung, 

Fig. 2 Details des ersten und zweiten Sicherheits- 
schaltgerates in dem Ausfuhrungsbeispiel ge- 
mafl Fig. 1 , und 

Fig. 3 Details des ersten und zweiten Sicherheits- 
schaltgerates in einem weiteren Ausfuhrungs- 
beispiel der Erfindung. 

[0036] In Fig. 1 ist eine erfindungsgemafie Vorrichtung 
in ihrer Gesamtheit mit der Bezugsziffer 1 0 bezeichnet. 
[0037] Die Vorrichtung 10 beinhaltet im vorliegenden 
Ausfuhrungsbeispiel drei Sicherheitsschaltgerate 12, 14, 
16, die in der nachfolgend erlauterten Weise zu einem 
Sicherheitsschaltgerate-System kombiniertsind. Das Si- 
cherheitsschaltgerat 12 ist ein erstes Sicherheitsschalt- 
gerat in derTerminologie der vorliegenden Erfindung. Es 
besitzteinen Eingang 18, an dem hierein Not-Aus-Taster 
20 zweikanalig angeschlossen ist. Ein weiterer Eingang 
ist mit der Bezugsziffer 22 bezeichnet. Hier ist in der 
nachfolgend naher beschriebenen Art und Weise ein 
Ruckfuhrsignal angeschlossen. 

[0038] Das Sicherheitsschaltgerat 12 besitzt des wei- 
teren einen einkanaligen Ausgang 24, an dem eine ein- 
kanalige Verbindungsleitung 26 angeschlossen ist. 
[0039] Das Sicherheitsschaltgerat 1 4 ist im Grundsatz 
ahnlich aufgebaut wie das Sicherheitsschaltgerat 12. Es 
unterscheidet sich von letzterem jedoch in Details, ins- 
besondere dadurch, daft es hier zum Anschluft einer 
Schutztur ausgebildet ist. Hierzu besitzt das Sicherheits- 
schaltgerat 14 einen Eingang 28, an den eine Schutztur 
30 zweikanalig angeschlossen ist. Ein weiterer Eingang 
ist mit der Bezugsziffer 32 bezeichnet. Der Eingang 32 
ist einkanalig ausgebildet und uber die Verbindungslei- 
tung 26 mit dem Ausgang 24 des Sicherheitsschaltgera- 
tes 12 verbunden. 

[0040] Dementsprechend ist das Sicherheitsschaltge- 
rat 14 hier ein zweites Sicherheitsschaltgerat in der Ter- 
minologie der vorliegenden Erfindung. Dartiber hinaus 



besitzt das Sicherheitsschaltgerat 14 hier jedoch auch 
die Funktion eines ersten Sicherheitsschaltgerates im 
Sinne der vorliegenden Erfindung, da es dem Sicher- 
heitsschaltgerat 16 wiederum vorgeschaltet ist. 

s [0041] Das Sicherheitsschaltgerat 14 besitzt dement- 
sprechend ebenfalls einen einkanaligen Ausgang, der 
hier mit der Bezugsziffer 34 bezeichnet ist. An den Aus- 
gang 34 ist eine wiederum einkanalige Verbindungslei- 
tung 36 angeschlossen. 

10 [0042] Das Sicherheitsschaltgerat 1 6 entspricht in sei- 
nem Aufbau dem Sicherheitsschaltgerat 14. Es ist im vor- 
liegenden Ausfuhrungsbeispiel ebenfalls ein Schutztur- 
uberwachungsgerat. Dementsprechend besitzt es einen 
Eingang 38, an den hier wiederum zweikanalig eine 

15 Schutztur 40 angeschlossen ist. Ein weiterer Eingang ist 
mit der Bezugsziffer 42 bezeichnet. Der Eingang 42 ist 
einkanalig ausgebildet und uber die Verbindungsleitung 
36 mit dem Ausgang 34 des Sicherheitsschaltgerates 14 
verbunden. Ein einkanaliger Ausgang des Sicherheits- 

20 schaltgerates 16 ist mit der Bezugsziffer 44 bezeichnet. 
An den Ausgang 44 ist eine einkanalige Verbindungslei- 
tung 46 angeschlossen. Ein weiterer Eingang ist mit der 
Bezugsziffer 48 bezeichnet. Hier ist in nachfolgend naher 
erlauterter Weise eine Ruckfuhrung angeschlossen. 

25 [0043] Die Ausbildung der Sicherheitsschaltgerate 12, 
14, 16 als Not-Aus- bzw. Schutzturuberwachungsgerate 
ist hier beispielhaft zu verstehen. Es kbnnte sich hier 
ebenfalls urn Zwei-Hand-Taster-Uberwachungsgerate, 
Drehzahluberwachungsgerate, Lichtschrankenuberwa- 

30 chungsgerate oder beliebige andere sicherheitsgerich- 
tete Schaltgerate handeln. Daruber hinaus konnten die 
Schaltgerate auch eine integrierte Sensorfunktion ha- 
ben. Beispielsweise konnte das erste Sicherheitsschalt- 
gerat die Ausgangsstufe einer Lichtschranke sein. 

35 [0044] Alle genannten Sicherheitsschaltgerate besit- 
zen in der Praxis weitere Eingange und Ausgange, die 
hier der Obersichtlichkeit halber nicht alle dargestellt 
sind. Unter anderem dienen diese Eingange zum Anle- 
gen einer Betriebsspannung U B sowie zum Anlegen ei- 

*o nes Bezugspotentials (Masse). Daruber hinaus besitzt 
bspw. das Sicherheitsschaltgerat 14 einen weiteren hier 
nicht gezeigten Eingang, der dem Eingang 22 bzw. 48 
der Schaltgerate 12 und 16 entspricht. 
[0045] In dem dargestellten Ausfuhrungsbeispiel sind 

45 an die einkanalige Verbindungsleitung 26 zwei Schutze 
K1 und K2 parallel angeschlossen. Diese werden im wei- 
teren mit den Bezugsziffern 50 und 52 bezeichnet. Der 
zweite AnschluIS der Schutze 50, 52 ist getrennt vom 
ersten Sicherheitsschaltgerat 12 mit dem Bezugspoten- 

50 tial (Masse) verbunden. Bei dem hier dargestellten Aus- 
fuhrungsbeispiel ist diese Realisierung nicht unbedingt 
erforderlich. Die Schutze 50, 52 konnten hier auch mit 
dem MasseanschlulidesSicherheitsschaltgerats 12 ver- 
bunden sein wie dies in Fig. 2 gezeigt ist. 

55 [0046] Die Schutze 50, 52 besitzen jeweils zumindest 
einen Hauptkontakt 54 und einen Hilfskontakt 56, die in 
an sich bekannter Weise starr miteinander verbunden 
sind (zwangsgefuhrte Kontakte). Der Hauptkontakt 54 
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ist, wie ublich, als Schliefter ausgebildet, der Hilfskontakt 
56 als Offnerkontakt. Die Hauptkontakte 54 der Schutze 
50, 52 sind in Reihe zueinander angeordnet. 
[0047] An einem Ende der Reihenschaltung ist ein ar> 
zuschaltendes Element, bspw. ein Pumpenantrieb fur ei- 
ne hydraulische Presse, angeschlossen. Am anderen 
Anschluft der Reihenschaltung liegt eine Versorgungs- 
spannung U v fur den Pumpenantrieb an. Diese kann mit 
Hilfe der Hauptkontakte 54 der Schutze 50, 52 fehlersi- 
cher abgeschaltet werden. 

[0048] Die Hilfskontakte 56 der Schutze 50, 52 sind 
ebenfalls in Reihe geschaltet. An einem Ende dieser Rei- 
henschaltung liegt die Betriebsspannung U B an. Das an- 
dere Ende dieser Reihenschaltung ist mit dem Eingang 
22 des Sicherheitsschaltgerates 12 verbunden. Auf- 
grund derZwangsfuhrung der Kontakte kann das Sicher- 
heitsschaltgerat 12 die Schaltstellung der Schutze 50, 
52 uberprufen. 

[0049] In ahnlicher Weise sind an die Verbindungslei- 
tung 46 am Ausgang des Schaltgerats 16 zwei weitere 
Schutze K3, K4 parallel angeschlossen. Die Schutze K3, 
K4 werden nachfolgend mit den Bezugsziffern 60, 62 be- 
zeichnet. Die Haupt- und Hilfskontakte 54 bzw. 56 der 
Schutze 60, 62 sind wiederum in Reihe geschaltet. Die 
Hauptkontakte 54 sind mit einem weiteren abzuschalten- 
den Element, hier bspw. einem Ventil 64, sowie einer 
Versorgungsspannung U v verbunden. Die Hilfskontakte 
56 fuhren ahnlich wie beim Schaltgerat 12 eine Betriebs- 
spannung U B an den Eingang 48 des Sicherheitsschalt- 
gerates 1 6 zuruck. 

[0050] Die Vorrichtung 10 dient hier zum sicheren Ab- 
schalten einer hydraulischen Presse. Wird der 
Not-Aus-Taster 20 betatigt, schalten die Schutze 50, 52 
den Pumpenantrieb 58 ab, d.h. die Presse (hier nicht 
dargestellt) wird vollstSndig stillgesetzt. Wird hingegen 
eine der beiden Schutzturen 30, 40 geoffhet, wird uber 
die beiden Schutze 60, 62 nur das Ventil 64 abgeschaltet 
(geschlossen). Der Pumpenantrieb 58 bleibt in diesem 
Fall in Betrieb. Die Vorrichtung 10 realisiert daher ohne 
aufwendige Programmiermaftnahmen eine hierarchi- 
sche Steuerung, bei der verschiedene Stellelemente un- 
terschiedlicheFunktionsbereichederuberwachten Pres- 
se beeinflussen. 

[0051] Es versteht sich, daft die Vorrichtung 10 in an- 
deren Ausfuhrungsbeispielen wesentlich mehr Sicher- 
heitsschaltgerate 12, 14, 16 beinhalten kann, die mit 
zahlreichen Stellelementen und Sensoren (Not-Aus-Ta- 
ster, Zwei-Hand-Taster, Schutzturen, Drehgeber etc.) 
sowie Aktoren (Schutzen Oder dergleichen) kombiniert 
sind. Charakteristisch ist dabei die Moglichkeit, die 
Schaltgerate untereinander uber einkanalige Verbin- 
dungsleitungen 26, 36, 46 zu verbinden. Je nach Bedarf 
konnen an die einkanaligen Verbindungsleitungen Akto- 
ren angeschlossen werden, wie dies in Fig. 1 am Beispiel 
der Schutze 50, 52 bzw. 60, 62 gezeigt ist. 
[0052] Bei der nachfolgenden Beschreibung von wei- 
teren Details der Vorrichtung 10 sowie weiteren Ausfuh- 
rungsbeispielen bezeichnen gleiche Bezugszeichen die- 



selben Elemente wie in Fig. 1 . 

[0053] In Fig. 2 sind die Schaltgerate 12 und 14 mit 
einigen Details schematisch dargestellt, wobei hier beim 
Schaltgerat 12 aus Grunden der Obersichtlichkeit im we- 
5 sentlichen der ausgangsseitige Teil dargestellt ist, wah- 
rend beim Schaltgerat 14 der eingangsseitige Teil ge- 
zeigt ist. 

[0054] Das Sicherheitsschaltgerat 12 besitzt eine 
zweikanalige Auswerte- und Steuereinheit 70, die ge- 

10 maft einem bevorzugten Ausfuhrungsbeispiel zwei diver- 
sitare Mikroprozessoren 72a, 72b beinhaltet. Mit der Be- 
zugsziffer 74 ist eine Schaltelementekombination be- 
zeichnet, die hier aus der Reihenschaltung eines elek- 
tromechanischen Schaltelements (Relais 76) und eines 

15 elektronischen Schaltelements (Feldeffekttransistor 78) 
gebildet ist. Statt des Relais konnte hier grundsatzlich 
auch ein weiteres elektronisches Schaltelement verwen- 
det sein. Des weiteren konnen die elektronischen Schal- 
telemente auch bipolare Transistoren sein. 

20 [0055] Mit der Bezugsziffer 80 ist ein Schwellwertver- 
gleicher bezeichnet, der in dem hier dargestellten Aus- 
fuhrungsbeispiel aufterdem ein vorgeschaltetes Tief- 
paftfilter beinhaltet. Mit Hilfe des Schwellwertverglei- 
chers 80 kann die Auswerte- und Steuereinheit 70 den 

25 statischen Signalpegel des Schaltsignals am Ausgang 
24 des Sicherheitsschaltgerates 12 uberwachen. 
[0056] Mit der Bezugsziffer 82 ist hier symbolisch der 
Innenwiderstand des Sicherheitsschaltgerates ^darge- 
stellt. Wie dem Fachmann bekannt ist, ist dieser Innen- 

30 widerstand nicht als ein einzelnes korperliches Element 
in dem Sicherheitsschaltgerat 12 vorhanden, sondern er 
ergibt sich als resultierende Grofte aus der Gesamtheit 
aller vorhandenen Komponenten. Der Innenwiderstand 
82 spielt eine Rolle bei der nachfolgenden Analyse mog- 

35 licher Fehler, die die Fehlersicherheit der Vorrichtung 1 0 
beeintrachtigen konnen. 

[0057] Die Bezugsziffer 84 bezeichnet einen weiteren, 
hier ebenfalls nur schematisch dargestellten Widerstand 
84. Der Widerstand 84 verbindetden Drain- Anschlu ft des 

40 Feldeffekttransistors 78 mit dem Bezugspotential Masse. 
In einer bevorzugten praktischen Realisierung ist der Wi- 
derstand 84 Bestandteil der im Schwellwertvergleicher 
80 integrierten Filterschaltung. Dies ist jedoch nicht fur 
alle Ausfuhrungsbeispiele erforderlich. Dargestellt ist der 

45 Widerstand 84 hier im wesentlichen, um zu verdeutli- 
chen, daft am Ausgang 24 des Schaltgerats 12 ein auf 
das Massepotential bezogenes Schaltsignal anliegt, das 
mit Hilfe des Feldeffekttransistors 78 erzeugt wird. Im 
vorliegenden Ausfuhrungsbeispiel besitzt das potential- 

50 bezogene Schaltsignal am Ausgang 24 entweder einen 
High-Pegel, der im wesentlichen der Betriebsspannung 
Uq entspricht, Oder einen Low-Pegel, der im wesentli- 
chen dem Massepotential entspricht. 
[0058] Das Sicherheitsschaltgerat 14 besitzt eine 

55 zweite Auswerte- und Steuereinheit, die hier mit der Be- 
zugsziffer 86 bezeichnet ist. Die Auswerte- und Steuer- 
einheit 86 besitzt ebenfalls zwei diversitare Mikroprozes- 
soren 88a, 88b. Sie entspricht in ihrem Aufbau und ihrer 
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Gesamtfunktion im Prinzip der Auswerte- und Steuerein- 
heit 70 des ersten Sicherheitsschaltgerates 12. Unter- 
schiede bestehen im wesentlichen in der speziellen Aus- 
wertung der an die Eingange anschliefibaren Stellele- 
mente. Aufterdem ist die Auswerte- und Steuereinheit 
86 hier vor allem im Hinblick auf ihre Beteiligung beim 
Einlesen des potential bezogenen Schaltsignals darge- 
stellt, wahrend die Darstellung der Auswerte- und Steu- 
ereinheit 70 hier vor allem die Erzeugung dieses Schalt- 
signals betrifft. 

[0059] Mit den Bezugsziffern 90 und 92 sind zwei zu- 
einanderredundante Eingangskreise bezeichnet, denen 
das am Eingang 32 anliegende potentiaibezogene 
Schaltsignal parallel zueinander zugefuhrt ist. Das 
Schaltsignal selbst ist in der Fig. 2 mit der Bezugsziffer 
94 bezeichnet. 

[0060] Das Schaltsignal 94 besitzt hier einen stati- 
schen und einen dynamischen Signalanteil. Der stati- 
scheSignalanteil ist der bereitsangesprochene High-Pe- 
gel, mit dem u.a. auch die Schutze 50, 52 eingeschaltet 
werden. Der High-Pegel ist von kurzzeitigen negativen 
Impulsen der Dauer T p unterbrochen, die mit Hilfe der 
Auswerte- und Steuereinheit 70 durch entsprechendes 
Tasten des Feldeffekttransistors 78 erzeugt werden. Die 
Impulsdauer T p ist hier kurzer ais die Abfallzeit der Schut- 
ze 50, 52, so daft die Schaltstellung der Schutze 50, 52 
durch die Impulse nicht beeinfluftt wird. Gemafc einem 
bevorzugten Ausfuhrungsbeispiel sind die dem stati- 
schen Signalanteil uberlagerten Impulse Abschaltimpul- 
se, wie sie bei gattungsgemaften Sicherheitsschaltgera- 
ten mit Halbleiterausgangen bereits bekannt sind. Bei 
gattungsgemaften Sicherheitsschaltgeraten werden die 
Abschaltimpulse verwendet, um die Abschaltfahigkeit 
des Sicherheitsschaltgerats 1 2 intern uberprufen zu kon- 
nen. 

[0061] Gemafi einem weiteren bevorzugten Ausfuh- 
rungsbeispiel erzeugt die Auswerte- und Steuereinheit 
70 die Impulse nach einem vorgegebenen Schema im 
Sinne einer Pulscodemodulation und/oder Pulsdauer- 
modulation. In einem Ausfuhrungsbeispiel reprasentie- 
ren die einzelnen Impulsfolgen Zahlen, die zunachst kon- 
tinuierlich hoch und dann wieder heruntergezahlt wer- 
den. Insgesamt kann das potentiaibezogene Schaltsi- 
gnal hierdurch mit einer redundanten Information verse- 
hen werden, die vom zweiten Sicherheitsschaltgerat 14 
auf Plausibilitat uberpruft wird, um eine nochmals erhoh- 
te Fehlersicherheitzu erreichen. Die erste Auswerte- und 
Steuereinheit 70 ubernimmt hier insofern auch eine Mo- 
dulatorfunktion. 

[0062] Der erste Eingangskreis 90 des zweiten Sicher- 
heitsschaltgerates 14 beinhaltet einen Impulsdetektor, 
der allein die im Schaltsignal 94 enthaltenen Impulse 
auswertet. Beijedem Impuls wird ein Interrupt a usge lost, 
der in der Auswerte- und Steuereinheit 86 eine vorgege- 
bene Interrupt-Routine startet. Der Eingangskreis 92 be- 
inhaltet beim vorliegenden Ausfuhrungsbeispiel demge- 
genuber einen Schwellwertvergleicher ahnlich dem 
Schwellwertvergleicher 80. Die Schaltschwelle des 



Schwellwertvergleichers 92 ist jedoch erheblich hoher 
als diejenige des Schwellwertvergleichers 80, und sie 
entspricht im wesentlichen dem High-Pegel des Schalt- 
signals 94. 

5 [0063] Die Funktionsweise der beiden Sicherheits- 
schaltgerate 12 und 14 ist im Rahmen der Vorrichtung 
10wiefolgt: 

[0064] Im normalen Betrieb der uberwachten Anlage, 
in dem Beispiel gemafi Fig. 1 also der hydraulischen 

10 Presse, erzeugt das Sicherheitsschaltgerat 1 2 das in Fig. 
2 dargestellte Schaltsignal 94. Dieses besitzt einen sta- 
tischen Signalanteil, der dem High-Pegel entspricht. Die 
Schutze 50, 52 sind dadurch eingeschaltet und der Pum- 
penantrieb 58 arbeitet. Das Sicherheitsschaltgerat 14 

is wertet mit Hilfe der beiden Eingangskreise 90, 92 sowie 
der Auswerte- und Steuereinheit 86 das Schaltsignal 94 
aus und erzeugt an seinem Ausgang (hier nicht darge- 
stellt) ein vergleichbares Schaltsignal. Dieses ist ent- 
sprechend Fig. 1 dem dritten Sicherheitsschaltgerat 16 

20 zugefuhrt. Das Sicherheitsschaltgerat 16 erzeugt wie- 
derum in vergleichbarer Weise ein weiteres Schaltsignal 
94, aufgrund dessen die Schutze 60, 62 eingeschaltet 
sind, so dafi auch das Ventil 64 geoffnet ist. 
[0065] Wird nun der Not-Aus-Taster 20 betatigt Oder 

25 erkennt die Auswerte- und Steuereinheit 70 einen inter- 
nen Fehler des Sicherheitsschaltgerates 12, spent die 
Auswerte- und Steuereinheit 70 den Feldeffekttransistor 
78. Infolgedessen nimmt das Schaltsignal 94 einen sta- 
tionaren Low-Pegel an, was im Sicherheitsschaltgerat 

30 14 mit Hilfe des Eingangskreises 92 festgestellt wird. 
Daraufhin spent die Auswerte- und Steuereinheit 86 die 
ihr zugeordnete Schaltelemente-Kombination (hier nicht 
dargestellt). Das Abschaltsignal wird dann an das dritte 
Sicherheitsschaltgerat 16 weitergegeben, das daraufhin 

35 die Schutze 60, 62 abschaltet. Damit ist die gesamte 
uberwachte Anlage nach der Betatigung des 
Not-Aus-Tasters 20 abgeschaltet. 
[0066] Wird anstelle des Not-Aus-Tasters 20 eine der 
beiden Schutzturen 30, 40 betatigt, schaltet das entspre- 

*o chende daran angeschlossene Sicherheitsschaltgerat 
14, 16 das an seinem Ausgang anliegende Schaltsignal 
auf den Low-Pegel. Dadurch werden wiederum alle 
nachfolgenden Komponenten der Kette abgeschaltet. 
Die dem aktivierten Sicherheitsschaltgerat vorausge- 

45 henden Komponenten, im Ausfuhrungsbeispiel gemafi 
Fig. 1 also das Sicherheitsschaltgerat 12 sowie die 
Schutze 50, 52, bleiben jedoch eingeschaltet. 
[0067] Den Erfolg des Abschaltvorgangs kann die 
Auswerte- und Steuereinheit 70 des ersten Sicherheits- 

50 schaltgerates 1 2 einerseits mit Hilfe des Schwellwertver- 
gleichers 80 und andererseits aufgrund der auf den Ein- 
gang 22 zuruckgefuhrten Hilfskontakte 56 der Schutze 
50, 52 uberprufen. Die Schaltstellung der Schutze 50, 52 
wird hier also auch beim Abschaltvorgang anhand der 

55 Hilfskontakte uberpruft. Dies erlaubt eine einfehlersiche- 
re Gberwachung des Abschaltvorgangs am Ausgang des 
Sicherheitsschaltgerates 1 2. Sollte bspw. der Feldeffekt- 
transistor 78 trotz des Abschaltbefehls von der Auswerte- 
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und Steuereinheit 70 das Potential am Ausgang 24 nicht 
auf Masse Ziehen konnen, kann die Auswerte- und Steu- 
ereinheit 70 mit Hilfe des Relais 76 den Abschaltvorgang 
redundant bewirken. Damit ist sowohl der Abschaltvor- 
gang als auch dessen Oberwachung durchgehend zwei- 
kanalig. 

[0068] Das Sicherheitsschaltgerat 14 wertet das Vor- 
handensein oder Nicht-Vorhandensein des Schaltsi- 
gnals 94 ebenfalls zweikanalig aus. Insgesamt ist damit 
eine Einfehlersicherheit im Sinne der Kategorie 4 der EN 
954-1 gewahrleistet. 

[0069] In Fig. 3 sind Details eines weiteren Ausfuh- 
rungsbeispiels dargestellt, dessen grundsatzlicher Auf- 
bau ebenfalls dem aus Fig. 1 entspricht. Gleiche Bezugs- 
zeichen bezeichnen wiederum dieselben Elemente wie 
zuvor. 

[0070] Im Unterschied zu dem Ausfuhrungsbeispiel 
gemafi Fig. 2 besitzt das erste Sicherheitsschaltgerat 12 
hier zwei zueinander redundante Schwellwertverglei- 
cher 100a, 100b. Ferner besitzt das zweite Sicherheits- 
schaltgerat 14 zwei Eingangskreise 102a, 102b, die 
ebenfalls jeweils einen Schwellwertvergleicher aufwei- 
sen. Die Schwellwertvergleicher 100a, 100b sind redun- 
dant zueinanderauf eine Schaltschwelleabgestimmt, die 
geringfugig uber, jedoch nahe bei 0 V liegt (in etwa gleich 
Masse potential). Die Schwellwertvergleicher in den Ein- 
gangskreisen 102a, 102b sind redundant zueinander auf 
eine Schaltschwelle abgestimmt, die in etwa dem 
High-Pegel des vom Sicherheitsschaltgerat 12 erzeug- 
ten Schaltsignals entspricht. Da beide Schwellwertuber- 
wachungen zweikanalig ausgefuhrt sind, ist wiederum 
eine Einfehlersicherheit erreicht. Daher kann grundsatz- 
lich sowohl auf die Erzeugung und Auswertung von dy- 
namischen Signaianteilen, d.h. von dem Schaltsignal 
uberlagerten Impulsen, als auch auf die Zuruckfuhrung 
der Hilfskontakte 56 der Schutze 50, 52 verzichtet wer- 
den. Diese in den Figuren 1 und 2 gezeigten Maftnahmen 
konnen jedoch auch in Erganzung zu der in Fig. 3 dar- 
gestellten Realisierung verwendetwerden. Des weiteren 
ist eine Kombination der hier gezeigten Alternativen mog- 
lich. Bspw. kann also in weiteren Ausfuhrungsbeispielen 
das Sicherheitsschaltgerat 1 2 am Ausgang so aufgebaut 
sein, wie in Fig. 2 dargestellt, wahrend der Eingang des 
Sicherheitsschaltgerates 14 dem in Fig. 3 gezeigten ent- 
spricht. Des weiteren kann das Sicherheitsschaltgerat 
12 am Ausgang der in Fig. 3 gezeigten Darstellung ent- 
sprechen, wobei mit Hilfe der Auswerte- und Steuerein- 
heit 70 oder mit Hilfe eines hier nicht dargestellten Mo- 
dulators die dynamischen Signalanteile im Schaltsignal 
erzeugt werden. Das Sicherheitsschaltgerat 14 ent- 
spricht dann der in Fig. 2 dargestellten Alternative. 
[0071] Eine Einschrankung ergibt sich bei diesen ver- 
schiedenen Permutationen, wenn das Massepotential 
der Schutze 50, 52 mit dem Masseanschlufi des Sicher- 
heitsschaltgerates 12 verbunden wird, wie dies in Fig. 2 
dargestellt ist. Wenn in diesem Fall namlich aufgrund ei- 
nes Kabelbruchs, der in den Figuren 2 und 3 mit dem 
Pfeil 104 angedeutet ist, der MasseanschlufJ verloren 



geht, konnte uber den Innenwiderstand 82 des Sicher- 
heitsschaltgerates 12 sowie uber die Schutze 50, 52 ein 
Strom in den Eingang 32 des Sicherheitsschaltgerates 
14 flie&en, und zwar selbst dann, wenn der Ausgang 24 

5 des Sicherheitsschaltgerates 1 2 abgeschaltet ist (Schalt- 
signal auf Low-Pegel). Hierdurch wurden das Sicher- 
heitsschaltgerat 14 und alle nachfolgenden Sicherheits- 
schaltgerate nicht abschalten, obwohl das Sicherheits- 
schaltgerat 12 abgeschaltet hat. Dieser Fehler lalit sich 

10 abfangen, wenn die Schutze 50, 52 getrennt vom ersten 
Sicherheitsschaltgerat 12 mit dem Massepotential ver- 
bunden werden. Aiternativ und/oder erganzend laftt sich 
dieser Fehler auch abfangen, wenn dynamische Signal- 
anteile im Schaltsignal 94 mit Hilfe des Impulsdetektors 

15 90 ausgewertet werden. 

[0072] Der Vollstandigkeit hatber sei abschlieftend er- 
wahnt, dafc das Sicherheitsschaltgerat 12 ebenso wie 
die weiteren Schaltgerate 14, 16 mehrere einkanalige 
AusgSnge der hier beschriebenen Art aufweisen kann. 

20 Dies ist in den Figuren 2 und 3 anhand des schematisch 
dargestellten Ausgangs 106 angedeutet. An den Aus- 
gang 106 konnen weitere Sicherheitsschaltgerate 
und/oder weitere Schutze angeschlossen werden, die 
von der Auswerte- und Steuereinheit 70 unabhangig von 

25 denjenigen Komponenten angesteuert werden, die am 
Ausgang 24 angeschlossen sind. 
[0073] Des weiteren ist es grundsatzlich moglich, die 
hier dargestellten Ausfuhrungsbeispiele auch mit Reali- 
sierungen zu kombinieren, wie sie in der WO 01/67610 

30 A1 gezeigt sind. 



Patentanspruche 

35 1. Vorrichtung zum fehlersieheren Abschalten eines 
elektrischen Verbrauchers (58, 64), insbesondere in 
industriellen produktionsanlagen, mit einem ersten 
(12) und zumindest einem zweiten (14, 16) Sicher- 
heitsschaltgerat, wobei das erste Sicherheitsschalt- 

40 gerat (12) eine erste Auswerte- und Steuereinheit 
(70), einen Ausgang (24) und ein elektronisches 
Schaltelement (78) aufweist, das in Abhangigkeit 
von der ersten Auswerte- und Steuereinheit (70) ein 
potentialbezogenes Schaltsignal (94) an dem Aus- 

45 gang (24) erzeugt, wobei das zweite Sicherheits- 
schaltgerat (14,16) eine zweite Auswerte- und Steu- 
ereinheit (86) sowie einen Eingang (32, 42) aufweist, 
der mit derzweiten Auswerte- und Steuereinheit (86) 
und mit dem Ausgang (24) des ersten Sicherheits- 

50 schaltgerats (1 2) verbunden ise, dadurch gekenn- 
zeichnet, dad das erste (12) und das zweite (14, 
16) Sicherheitsschaltgerat uber eine einkanalige 
Verbindungsleitung (26) miteinander verbunden 
sind und dafc das zweite Sicherheitsschaltgerat (14, 

55 16) zumindest zwei Eingangskreise (90, 92; 102a, 
102b) aufweist, denen das potentialbezogene 
Schaltsignal (94) des ersten Sicherheitsschaltgerats 
(12) redundant zueinander zugefuhrt ist. 
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2. Vorrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, daft das erste Sicherheitsschaltgerat (12) 
einen Modulator (70) aufweist, der das potentialbe- 
zogene Schaltsignal (94) mit einem statischen Si- 
gnalanteil und einem dynamischen Signalanteil ver- 
sieht. 

3. Vorrichtung nach Anspruch 2, dadurch gekenn- 
zeichnet, daft der statische signalanteil ein positiver 
Signalpegel ist und dafc derdynamische Signalanteil 
zumindest einen zyklisch wiederkehrenden Impuls 
beinhaltet, der den positiven Signalpegel verandert. 

4. Vorrichtung nach einem der Anspruche 1 bis 3, da- 
durch gekennzeichnet, daft die zumindest zwei 
Eingangskreise zumindest zwei zueinander redun- 
dante Schwellwertvergleicher (102a, 102b) aufwei- 
sen. 

5. Vorrichtung nach einem der Anspruche 1 bis 4, da- 
durch gekennzeichnet, daft zumindest ein Ein- 
gangskreis einen Schwellwertvergleicher (92) und 
ein anderer Eingangskreis einen Impulsdetektor (90) 
aufweist. 

6. Vorrichtung nach einem der Anspruche 1 bis 5, da- 
durch gekennzeichnet, daft das erste Sicherheits- 
schaltgerat (12) zumindest einen Schwellwertver- 
gleicher (80; 100), bevorzugt zumindest zwei zuein- 
ander redundante Schwellwertvergleicher (100a, 
100b), aufweist, dem bzw. denen eingangsseitig das 
potentialbezogene Schaltsignal (94) zugefuhrt ist 
und der bzw. die ausgangsseitg mit der ersten Aus- 
werte- und Steuereinheit (70) verbunden ist/sind. 

7. Vorrichtung nach einem der Anspruche 1 bis 6, da- 
durch gekennzeichnet, daft an die einkanalige 
Verbindungsleitung (26) ferner zumindest zwei ex- 
teme Schaltelemente (50, 52) angeschlossen sind. 

8. Vorrichtung nach Anspruch 7, dadurch gekenn- 
zeichnet, daft die externen Schaltelemente (50, 52) 
elektromechanische Schaltelemente mit jeweils zu- 
mindest zwei durch eine Zwangsfuhrung verbunde- 
nen Schaltkontakten (54, 56) sind, 

9. Vorrichtung nach Anspruch 8, dadurch gekenn- 
zeichnet, daft jeweils einer der durch die Zwangs- 
fuhrung verbundenen Schaltkontakte (56) auf einen 
Eingang (22) des ersten Sicherheitsschaltgerats 
(12) verbunden ist. 

10. Vorrichtung nach einem der Anspruche 7 bis 9, da- 
durch gekennzeichnet, daft die externen Schal- 
telemente (50, 52) getrennt von dem ersten Sicher- 
heitsschaltgerat (12) mit einem Bezugspotential 
(Masse) verbunden sind. 



11. Vorrichtung nach einem der Anspruche 1 bis 10, da- 
durch gekennzeichnet, daft das zweite Sicher- 
heitsschaltgerat (14, 16) zumindest einen weiteren 
Eingang (28, 38) zum Aufnehmen eines weiteren 
5 Schaltsignals sowie eine Verknupfungseinheit (86) 
aufweist, die das weitere Schaltsignal mit dem po- 
tential bezogenen Schaltsignal (94) logisch Ver- 
knupft. 

10 12. Vorrichtung nach einem der Anspruche 1 bis 1 1 , da- 
durch gekennzeichnet, daft das erste Sicherheits- 
schaltgerat (12) zumindest zwei Ausgange (24, 1 06) 
aufweist, an denen in Abhangigkeit von der ersten 
Auswerte- und Steuereinheit (70) voneinander un- 

15 abhangige potentialbezogene Schaltsignale er- 
zeugbar sind. 

13. SicherheitsschaltgeratzurVerwendung in einer vor- 
richtung nach einem der Anspruche 1 bis 12, mit 

20 einem Eingang (32) zum Aufnehmen eines potenti- 
albezogenen Schaltsignals (94) und mit einer Aus- 
werte- und Steuereinheit (86), die mit dem Eingang 
(32) verbunden ist, dadurch gekennzeichnet, daft 
zumindest zwei Eingangskreise (90,92; 102a, 102b) 
25 vorhanden sind, denen das potentialbezogene 
Schaltsignal (94) von dem einen Eingang (32) red- 
undant zueinander zugefuhrt ist. 

14. Sicherheitsschaltgerat zur Verwendung in einer vor- 
30 richtung nach einem der Anspruche 1 bis 12, mit 

einer Auswerte- und Steuereinheit (70), einem Aus- 
gang (24) sowie einem elektronischen Schaltele- 
ment (78), das in Abhangigkeit yon der Auswerte- 
und Steuereinheit (70) ein potentialbezogenes 

35 Schaltsignal (94) an dem Ausgang (24) erzeugt, da- 
durch gekennzeichnet, daft der Ausgang (24) ein- 
kanalig zum AnschluG an eine einkanalige Verbin- 
dungsleitung (26) ausgelegt ist und mit einem Mo- 
dulator verbunden ist, der das potentialbezogene 

40 Schaltsignal (94) mit einem statischen und einem 
dynamischen Signalanteil versieht. 



Claims 

1. An apparatus for failsafe disconnection of an elec- 
trical load (58, 64), in particular in industrial produc- 
tion systems, having a first (1 2) and at least one sec- 
ond (14, 16) safety switching device, with the first 
safety switching device (12) comprising a first eval- 
uation and control unit (70), an output (24) and an 
electronic switching element (78), which produces a 
potential-related switching signal (94) at the output 
(24) as a function of the first evaluation and control 
unit (70), with the second safety switching device 
(14, 16) comprising a second evaluation and control 
unit (86) and an input (32, 42) which is connected to 
the second evaluation and control unit (86) and to 
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the output (24) of the first safety switching device 
(12), characterized in that the first (1 2) and the sec- 
ond (14, 16) safety switching devices are connected 
to one another via a single-channel connecting line 
(26), and the second safety switching device (14, 16) 5 
comprises at least two input circuits (90, 92; 102a, 
102b) to which the potential-related switching signal 
(94) of the first safety switching device (12) is sup- 
plied redundantly with respect to one another. 

10 

2. The apparatus of Claim 1 , characterized in that the 
first safety switching device (12) comprises a mod- 
ulator (70), which provides the potential-related 
switching signal (94) with a steady-state signal com- 
ponent and a dynamic signal component. is 

3. The apparatus of Claim 2, characterized in that the 

steady-state signal component is a positive signal 
level, and the dynamic signal component includes 
at least one cyclically repeated pulse which changes 20 
the positive signal level. 

4. The apparatus of anyone of Claims 1 to 3, charac- 
terized in that the at feast two input circuits comprise 

at least two mutually redundantthreshold value com- 25 
parators (102a, 102b). 

5. The apparatus of anyone of Claims 1 to 4, charac- 
terized in that at least one input circuit has a thresh- 
old value comparator (92), and another input circuit so 
has a pulse detector (90). 

6. The apparatus of anyone of Claims 1 to 5, charac- 
terized in that the first safety switching device (12) 
comprises at least one threshold value comparator 35 
(80; 1 00), preferably at least two mutually redundant 
threshold value comparators (100a, 100b), to whose 
input side or sides the potential-related switching sig- 
nal (94) is supplied, and whose output side or sides 

is or are connected to the first evaluation and control 4 o 
unit (70). 

7. The apparatus of anyone of Claims 1 to 6, charac- 
terized in that at least two external switching ele- 
ments (50, 52) are also connected to the sin- 46 
gle-channel connecting line (26). 

8. The apparatus of Claim 7, characterized in that the 
external switching elements (50, 52) are electrome- 
chanical switching elements, each having at least so 
two mutually interlocked switching contacts (54, 56). 

9. The apparatus of Claim 8, characterized in that 
one of the interlocked switching contacts (56) is in 
each case connected to one input (22) of the first 55 
safety switching device (12). 

10. The apparatus of anyone of Claims 7 to 9, charac- 



terized in that the external switching elements (50, 
52) are connected to a reference ground potential 
(ground) separately from the first safety switching 
device (12). 

1 1 . The apparatus of anyone of Claims 1 to 1 0, charac- 
terized in that the second safety switching device 
(14, 16) comprises at least one further input (28, 38) 
for reception of a further switching signal, and com- 
prises a logic unit (86) which logically interconnects 
the further switching signal and the potential-related 
switching signal (94). 

1 2. The apparatus of anyone of Claims 1 to 1 1 , charac- 
terized in that the first safety switching element ( 1 2) 
comprises at least two outputs (24, 106) at which 
mutually independent potential-related switching 
signals can be produced as a function of the first 
evaluation and control unit (70). 

13. A safety switching device for use in an apparatus of 
anyone of Claims 1 to 12, having an input (32) for 
reception of a potential-related switching signal (94), 
and having an evaluation and control unit (86) which 
is connected to the input (32), characterized in that 
at least two input circuits (90, 92; 102a, 102b) are 
provided, to which the potential-related switching 
signal (94) is supplied from said input (32) redun- 
dantly with respect to one another. 

14. A safety switching device for use in an apparatus of 
anyone of Claims 1 to 12, having an evaluation and 
control unit (70), an output (24) and an electronic 
switching element (78) which produces a poten- 
tial-related switching signal (94) at the output (24) 
as a function of the evaluation and control unit (70), 
characterized in that the output (24) is designed 
with a single channel for connection to a single-chan- 
nel connecting line (26), and the output is connected 
to a modulator which provides the potential-related 
switching signal (94) with a steady-state signal com- 
ponent and a dynamic signal component. 



Revendications 

1. Dispositif destine & deconnecter, de maniere prote- 
gee contre les erreurs, un consommateur electrique 
(58, 64), en particulier dans les installations de pro- 
duction industrielles, comportant un premier dispo- 
sitif de coupure de securite (12) et au moins un 
deuxteme dispositif de coupure de securite (14, 16), 
le premier dispositif de coupure de securite (12) com- 
portant une premiere unite d'analyse et de comman- 
de (70), une sortie (24) et un element de commande 
electronique (78) qui, en fonction de la premiere uni- 
te d'analyse et de commande (70), genere d la sortie 
(24) un signal de commande (94) specifique au po- 
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tentiel, le deuxieme dispositif de coupure de securite 
(14, 16) comportant une deuxieme unite d'analyse 
et de commande (86), ainsi qu'une entree (32, 42) 
qui communique avec la deuxieme unite d'analyse 
et de commande (86) et avec la sortie (24) du premier 
dispositif de coupure de securite (12), caracterise 
en ce que le premier (12) et le deuxieme (14, 16) 
dispositif de coupure de securite sont relics Tun a 
I'autre par I'intermediaire d'une ligne de communi- 
cation (26) a un canal et en ce que le deuxieme 
dispositif de coupure de securite (14, 16) comporte 
aumoins deux circuits d'entree (90, 92 ; 102a, 102b) 
vers lesquels le signal de commande (94) specifique 
au potentiel delivre par le premier dispositif de cou- 
pure de securite (12) est achemine par redondance 
reciproque. 

2. Dispositif selon la revendication 1 , caracterise en 
ce que le premier dispositif de coupure de securite 
(12) comporte un modulateur (70), par lequel le si- 
gnal de commande (94) specifique au potentiel est 
muni d'une composante statique et d'une compo- 
sante dynamique. 

3. Dispositif selon la revendication 2, caracterise en 
ce que la composante statique du signal est un ni- 
veau de signal positif et en ce que la composante 
dynamique du signal contient au moins une impul- 
sion a repetition cyclique, qui modifie le niveau de 
signal positif. 

4. Dispositif selon I'une quelconque des revendications 
1 a 3, caracterise en ce que iesdits au moins deux 
circuits d'entree comportent au moins deux compa- 
rateurs de valeur seuil (102a, 102b) £ redondance 
reciproque. 

5. Dispositif selon I'une quelconque des revendications 
1 a 4, caracterise en ce qu'au moins un circuit d'en- 
tree comporte un comparateur de valeur seuil (92) 
et un autre circuit d'entree comporte un detecteur 
d'impulsion (90). 

6. Dispositif selon I'une quelconque des revendications 
1 a 5, caracterise en ce que le premier dispositif 
de coupure de securite (12) comporte au moins un 
comparateur de valeur seuil (80 ; 100), de preferen- 
ce au moins deux comparateurs de valeur seuil 
(100a, 100b) a redondance reciproque, vers lequel 
ou lesquels est achemine du cote entr6e le signal 
de commande (94) specifique au potentiel et lequel 
ou lesquels est/sont relie(s) du cote sortie a la pre- 
miere unite d'analyse et de commande (70). 

7. Dispositif selon I'une quelconque des revendications 
1 a 6, caracterise en ce que, en outre, au moins 
deux elements de commande externes (50, 52) sont 
raccordes a la ligne de communication (26) £ un ca- 



nal. 

8. Dispositif selon la revendication 7, caracterise en 
ce que les elements de commande externes (50, 
5 52) sont des elements de commande eiectromeca- 
niques comportant respectivement au moins deux 
contacts de commande (54, 56) relies par un guida- 
ge force. 

10 g. Dispositif selon la revendication 8, caracterise en 
ce que respectivement Tun des contacts de com- 
mande (54, 56) relies par guidage force est relie a 
une entree (22) du premier dispositif de coupure de 
securite (12). 

15 

10. Dispositif selon Tune quelconque des revendications 
7 a 9, caracterise en ce que les elements de com- 
mande externes (50/ 52) sont relies e un potentiel 
de reference (masse) en etant separes du premier 

20 dispositif de coupure de securite (12). 

1 1 . Dispositif selon I'une quelconque des revendications 
1 a 1 0, caracterise en ce que le deuxieme dispositif 
de coupure de securite (14, 16) comporte au moins 

25 une autre entree (28, 38) destinee £ recevoir un autre 
signal de commande, ainsi qu'une unite d'enchame- 
ment (86), par laquelle I'autre signal de commande 
est enchaine logiquement au signal de commande 
(94) specifique au potentiel. 

30 

12. Dispositif selon I'une quelconque des revendications 
1 a 1 1 , caracterise en ce que le premier dispositif 
de coupure de securite (12) comporte au moins deux 
sorties (24, 106), au niveau desquelles, en fonction 

35 de la premiere unite d'analyse et de commande (70), 
peuvent etre g6neres des signaux de commande lies 
au potentiel, independants les uns des autres. 



13. Dispositif de coupure de securite destine a etre uti- 
40 Use dans un dispositif selon I'une quelconque des 

revendications 1 £ 12, comportant une entree (32) 
destinee a recevoir un signal de commande (94) spe- 
cifique au potentiel et comportant une unite d'analy- 
se et de commande (86) qui communique avec I'en- 
45 tree (32), caracterise en ce qu'il est prevu au moins 
deux circuits d'entree (90, 92 ; 102a, 102b), vers les- 
quels le signal de commande (94) specifique au po- 
tentiel, delivre a I'une des entrees (32), est achemine 
par redondance reciproque. 

50 

14. Dispositif de coupure de securite destine £ etre uti- 
lise dans un dispositif selon I'une quelconque des 
revendications 1 £ 12, comportant une unite d'ana- 
lyse et de commande (70), une sortie (24), ainsi 

55 qu'un element de commande eiectronique (78) qui, 
en fonction de I'unite d'analyse et de commande 
(70), genere & la sortie (24) un signal de commande 
(94) specifique au potentiel, caracterise en ce que 
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la sortie (24) est realisee avec un canal pour le rac- 
cordement d une ligne de communication (26) & un 
canal et est reliee £ un modulateur, par lequel le 
signal de commande (94) specifique au potentiel est 
muni d'une composante statique et d'une compo- 
sante dynamique. 
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